La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. Didier KLING et Bertrand du MARAIS, membres,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le code de la santé publique ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;

Vu la décision n° 2025-125C du 7 juillet 2025 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société HOPITAL PRIVE DE LA LOIRE ou pour son compte ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés du 19 février 2026 portant désignation d’une rapporteure devant la formation restreinte ;

Vu le rapport de Mme Anne DEBET, commissaire rapporteure, signifié à la société HOPITAL PRIVE DE LA LOIRE le 5 mars 2026 ;

Vu les observations écrites versées par la société HOPITAL PRIVE DE LA LOIRE le 3 avril 2026 ;

Vu la clôture de l’instruction, notifiée à la société le 18 mai 2026 ;

Vu le courrier du président de la formation restreinte du 18 mai 2026, informant la société que le dossier était inscrit à l’ordre du jour de la formation restreinte du 18 juin 2026 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 18 juin 2026 ;

Vu les autres pièces du dossier,

Étaient présents, lors de la séance de la formation restreinte du 18 juin 2026 :

– Mme Anne DEBET, commissaire, entendue en son rapport ;

En qualité de représentants de la société HOPITAL PRIVE DE LA LOIRE :

– […]

La société HOPITAL PRIVE DE LA LOIRE ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. FAITS ET PROCÉDURE

A. Présentation de l’hôpital et des traitements mis en œuvre

1. La société HOPITAL PRIVE DE LA LOIRE (ci-après l’HOPITAL PRIVE DE LA LOIRE ou l’hôpital ) est une société anonyme à conseil d’administration créée le 1er janvier 1970, immatriculée au RCS de Saint-Etienne sous le numéro 704 501 006 et domiciliée 39, boulevard de la Palle à Saint-Etienne (42100).

2. Issu du regroupement de quatre cliniques de l’agglomération de Saint-Etienne, l’hôpital a intégré en 2008 le groupe RAMSAY SANTE, qui se présente comme le leader de l’hospitalisation privée et des soins primaires en Europe et le 1er acteur de santé privé en France, Suède, Danemark et Norvège .

3. Entre les mois de juillet 2023 et juin 2024, l’hôpital a réalisé un chiffre d’affaires d’environ 91,8 millions d’euros, pour un résultat net déficitaire de 2,9 millions d’euros, et, entre juillet 2024 et juin 2025, un chiffre d’affaires d’environ 93,4 millions d’euros, pour un résultat net déficitaire de 5,2 millions d’euros. Le groupe RAMSAY a quant à lui réalisé, entre juillet 2024 et juin 2025, un chiffre d’affaires de […], pour un résultat de […].

4. L’hôpital propose l’ensemble des spécialités de soin (hors dialyse, neurochirurgie crânienne et chirurgie du cœur) et a accueilli en 2024 environ 50 000 patients. Il emploie 566 salariés en équivalent temps plein, dont une quinzaine de médecins, et dispose en sus d’une communauté médicale d’environ 200 praticiens libéraux (chirurgiens et médecins, kinésithérapeutes, sages-femmes), liés à l’hôpital par des contrats d’exercice.

5. L’ensemble des données des patients pris en charge au sein de l’hôpital est centralisé dans un dossier patient informatisé (ci-après, le DPI ), qui permet de retracer leur parcours de soins, et de coordonner l’intervention des différents acteurs de soins (médecins, infirmiers, aides-soignants, paramédicaux notamment) en vue de la prise en charge et de l’administration des médicaments et des soins.

6. Sa gestion a lieu par l’intermédiaire du logiciel […], qui se présente sous la forme d’une application web accessible à partir d’un navigateur, après saisie d’un identifiant et d’un mot de passe. Les fiches patients composant le DPI (qui contiennent l’ensemble des données relatives à chaque patient) peuvent être consultées, via cette application, à partir d’une adresse URL dans laquelle figure un identifiant propre au patient.

7. En 2025, le DPI de l’hôpital comportait les données à caractère personnel d’environ 530 000 patients, dont :

– des données de nature administrative : le numéro de dossier du patient, sa civilité, ses noms et prénoms, ses date et lieu de naissance, son sexe, son numéro de sécurité sociale, son adresse postale, son numéro d’identifiant patient permanent (ou IPP ), sa situation de famille, sa situation professionnelle, l’identité et les coordonnées d’une personne de confiance à prévenir en cas de besoin et, dans certains cas, la copie du recto de la carte nationale d’identité du patient, de son tuteur/curateur ou de son responsable légal s’agissant des patients mineurs ;

– des données de nature biométrique : le cliché de sécurisation ;

– et des données concernant la santé : les observations soignantes, médicales et paramédicales, en amont et durant l’hospitalisation du patient.

8. L’accès au DPI était possible depuis le réseau interne de l’hôpital, mais également depuis l’extérieur :

– pour les salariés de la société HOPITAL PRIVE DE LA LOIRE disposant d’un poste informatique de l’hôpital et d’un accès à distance au moyen d’un VPN, ce qui correspondait à environ 40 personnes, notamment les cadres d’astreinte ;

– pour les utilisateurs externes à l’hôpital, à savoir les praticiens libéraux et leur secrétariat, et les salariés de la société éditrice du logiciel en charge de la maintenance du DPI. Ces utilisateurs externes se connectaient directement au DPI par le biais d’un accès à internet, sans connexion préalable à un VPN. Cela correspondait à environ 450 personnes.

9. Une matrice d’habilitation des droits d’accès au dossier patient informatisé de l’hôpital précisait les droits de chaque utilisateur sur les différents modules (données administratives, données de santé, etc.) en fonction de son profil.

B. La violation de données à caractère personnel survenue en juin 2025

10. Le 1er juillet 2025, l’HOPITAL PRIVE DE LA LOIRE a été contacté par un praticien libéral rattaché à l’hôpital, qui indiquait ne plus parvenir à se connecter au DPI. A la suite de cette alerte, l’hôpital a conduit des investigations qui ont établi la survenance d’une violation de données.

11. Il résulte de ces investigations que l’attaquant est parvenu à se connecter au dossier patient informatisé de l’hôpital le 26 juin 2025, en utilisant les identifiants du compte d’un médecin libéral rattaché à l’hôpital. Il a alors multiplié les requêtes pour comprendre leur fonctionnement ainsi que l’arborescence du site.

12. Entre le 26 juin et le 1er juillet 2025, il a ensuite procédé à l’exfiltration de 524 867 fiches patients contenant des informations telles que l’état civil, le numéro de sécurité sociale, les coordonnées postales et électroniques et le numéro d’identifiant permanent des patients concernés. Parmi elles, 46 185 fiches comportaient également le recto de la carte nationale d’identité du patient ou de son représentant légal, 43 fiches comportaient des données de santé, et 202 246 fiches comportaient des données relatives à la personne de confiance désignée par le patient (lien de parenté, nom, prénom et numéro de téléphone).

13. L’HOPITAL PRIVE DE LA LOIRE a procédé à la notification de cette violation de données auprès de la Commission nationale de l’informatique et des libertés (ci-après, la CNIL ou la Commission ) le 4 juillet 2025.

14. En parallèle, la CNIL a reçu neuf plaintes de personnes concernées par cette violation.

C. La procédure suivie devant la CNIL

15. Le 29 juillet 2025, une délégation de la Commission a procédé à un contrôle sur place dans les locaux de l’hôpital, situés 39 boulevard de la Palle à Saint-Etienne (42100), afin de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ou LIL ), au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le RGPD ou le Règlement ) des traitements mis en œuvre. Le procès-verbal dressé à l’issue a été notifié à la société HOPITAL PRIVE DE LA LOIRE le 1er août 2025.

16. L’hôpital a communiqué des éléments complémentaires à la délégation de contrôle le 4 août 2025.

17. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 19 février 2026, désigné Mme Anne DEBET en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

18. Le 5 mars 2026, à l’issue de son instruction, la rapporteure a fait signifier à la société HOPITAL PRIVE DE LA LOIRE un rapport détaillant les manquements aux articles 32 et 34 du RGPD qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la société une amende administrative, ainsi qu’une injonction de mettre en conformité ses pratiques avec les dispositions de l’article 32 du RGPD, assortie d’une astreinte. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

19. Le 3 avril 2026, l’HOPITAL PRIVE DE LA LOIRE a produit des observations en réponse au rapport de sanction.

20. Le 18 mai 2026, la rapporteure a, en application du III de l’article 40 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés (ci-après, le décret du 29 mai 2019 ), informé l’hôpital que l’instruction était close.

21. Le même jour, l’hôpital a été informé que le dossier était inscrit à l’ordre du jour de la formation restreinte du 18 juin 2026.

22. La rapporteure et l’hôpital ont présenté des observations orales lors de la séance de la formation restreinte.

II. MOTIFS DE LA DECISION

A. Sur la responsabilité de traitement de la société HOPITAL PRIVE DE LA LOIRE

23. En droit, l’article 4, paragraphe 7, du RGPD définit le responsable de traitement comme la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné (…) par le droit de l’Union ou par le droit d’un État membre .

24. En l’espèce, le traitement en cause est relatif au dossier patient informatisé (ou DPI ), qui a pour finalité de centraliser l’ensemble des données à caractère personnel des patients pris en charge au sein de l’HOPITAL PRIVE DE LA LOIRE selon les modalités précédemment décrites.

25. La société HOPITAL PRIVE DE LA LOIRE a indiqué à la délégation être responsable des traitements de données à caractère personnel mis en œuvre dans le cadre de son DPI. L’hôpital est également désigné comme responsable de ces traitements dans le registre tenu au titre de l’article 30 du RGPD, ainsi que dans le contrat conclu avec la société […], éditrice du logiciel […] précité. Enfin, l’analyse d’impact sur la protection des données (ci-après l’AIPD ), effectuée sur saisine de la correspondante RGPD de l’hôpital, confirme cette responsabilité, en explicitant les finalités du traitement, à savoir de permettre la tenue et la conservation du dossier informatisé du patient, dans les conditions prévues et imposées par le Code de la santé publique , et en en détaillant les moyens.

26. La formation restreinte rappelle que la tenue d’un dossier patient informatisé permet aux établissements de santé de répondre aux obligations de l’article R. 1112-2 du code de la santé publique, qui prévoit qu’un dossier médical est constitué pour chaque patient hospitalisé dans un établissement de santé public ou privé , et énumère les éléments devant y figurer.

27. Elle considère, au vu de ce qui précède et au regard des éléments du dossier, que l’hôpital est responsable des traitements relatifs au DPI, dont il a défini les finalités et les moyens essentiels.

B. Sur le manquement à l’obligation d’assurer la sécurité des données en application de l’article 32 du RGPD

28. En droit, l’article 32, paragraphe 1, du RGPD prévoit que compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, (…) le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque (…) et notamment des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ainsi qu’une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement .

29. L’article 32, paragraphe 2, précise que lors de l’évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite .

30. Il résulte de ces dispositions, lues à la lumière du considérant 75 du RGPD, que lorsque le traitement en cause porte sur des catégories particulières de données à caractère personnel, comme des données de santé, le traitement doit bénéficier de mesures de sécurité renforcées.

31. Par ailleurs, l’article L. 1470-2 du code de la santé publique, qui régit les services numériques en santé, prévoit que l’utilisation des services numériques en santé requiert l’identification électronique de leurs utilisateurs. Cette identification électronique repose sur un moyen, matériel ou immatériel, qui garantit un niveau adapté de sécurité et de protection des données à caractère personnel traitées par le service numérique en santé concerné.

32. Un référentiel, établi par arrêté des ministres chargés de la santé et de l’action sociale, détermine des catégories de services numériques en santé en fonction notamment des finalités du service, du type de données traitées, du nombre d’utilisateurs susceptibles d’accéder au service, de sa dimension nationale ou territoriale et, le cas échéant, de la circonstance que le service bénéficie à des utilisateurs professionnels de santé exerçant simultanément leur activité au sein de plusieurs personnes morales.

33. Ce référentiel précise, pour chaque catégorie d’utilisateurs et pour chaque catégorie de service numérique en santé : 1° Le niveau de garantie minimal exigé pour l’identification électronique, (…) 2° Pour les professionnels, le ou les moyens d’identification électronique exigés.

34. En application de ces dispositions, un arrêté du 28 mars 2022, entré en vigueur le 1er juin 2022, a approuvé et rendu opposable le référentiel de sécurité relatif à l’identification électronique des utilisateurs des services numériques en santé.

35. Il incombe ainsi au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir la confidentialité et l’intégrité des données traitées, en tenant compte de la spécificité de ces données et du cadre juridique applicable aux services numériques en santé.

1. La portée de l’obligation de sécurité prévue à l’article 32 du RGPD

36. La formation restreinte rappelle tout d’abord que l’obligation de sécurité prévue par l’article 32 du RGPD est une obligation de moyens, qui impose au responsable du traitement de prendre des mesures qui, au regard des caractéristiques du traitement en cause, permettent à la fois de réduire la probabilité de la survenance d’une violation de données et le cas échéant, d’en atténuer la gravité. Il n’est donc pas attendu que les mesures de sécurité permettent d’éliminer toute forme de risque, et la simple survenance d’une violation de données ne caractérise pas à elle seule un manquement à l’article 32 du RGPD.

37. Cette analyse a été confirmée par la CJUE dans son arrêt du 14 décembre 2023 (CJUE, 14 décembre 2023, C-340/21, Agence nationale des recettes publiques de Bulgarie , points 29 à 31). La formation restreinte relève que, dans cet arrêt, la CJUE a retenu que la référence, figurant à l’article 32, paragraphes 1 et 2, du RGPD, à un niveau de sécurité adapté au risque et à un niveau de sécurité approprié témoigne de ce que ce règlement instaure un régime de gestion des risques et qu’il ne prétend nullement éliminer les risques de violations des données à caractère personnel. Ainsi, il ressort des libellés des articles 24 et 32 du RGPD que ces dispositions se bornent à imposer au responsable du traitement d’adopter des mesures techniques et organisationnelles destinées à éviter, dans toute la mesure du possible, toute violation de données à caractère personnel. Le caractère approprié de telles mesures doit être évalué de manière concrète, en examinant si ces mesures ont été mises en œuvre par ce responsable en tenant compte des différents critères visés auxdits articles et des besoins de protection des données spécifiquement inhérents au traitement concerné ainsi qu’aux risques induits par ce dernier. Partant, les articles 24 et 32 du RGPD ne sauraient être compris en ce sens qu’une divulgation non autorisée de données à caractère personnel ou un accès non autorisé à de telles données par un tiers suffisent pour conclure que les mesures adoptées par le responsable du traitement concerné n’étaient pas appropriées, au sens de ces dispositions, sans même permettre à ce dernier d’apporter la preuve contraire.

38. La CJUE a rappelé plus récemment que cette interprétation littérale est corroborée par une lecture combinée desdits articles 24 et 32 avec l’article 5, paragraphe 2, et l’article 82 dudit règlement, lus à la lumière des considérants 74, 76 et 83 de celui ci, dont il découle, en particulier, que le responsable du traitement est tenu d’atténuer les risques de violation des données à caractère personnel, et non d’empêcher toute violation de celles-ci (25 janvier 2024, C-687/21, point 39).

39. Dès lors, un manquement à l’obligation de sécurité peut être caractérisé indépendamment de l’existence d’une violation de données à caractère personnel.

40. La formation restreinte rappelle ensuite pouvoir sanctionner, non pas la survenance d’une violation de données, mais le fait que celle-ci a été rendue possible ou a été facilitée par l’absence ou l’insuffisance des mesures de sécurité mises en œuvre par un responsable du traitement, compte tenu de l’état de l’art. En ce sens, elle a déjà retenu, à plusieurs reprises, un manquement à l’article 32 du RGPD, compte tenu de l’absence ou de l’insuffisance des mesures de sécurité déployées qui a été exploitée par un attaquant dans le cadre d’une violation de données à caractère personnel (délibération n° SAN-2021-020 du 28 décembre 2021 § 61 ; délibération de la formation restreinte n° SAN-2020-014 du 7 décembre 2020 § 19 ; délibération de la formation restreinte n° SAN – 2019-005 du 28 mai 2019 § 31 ; délibération n° SAN-2018-011 du 19 décembre 2018).

41. S’agissant de l’appréciation de l’obligation de moyens à laquelle est tenu le responsable de traitement, la CJUE considère que le caractère approprié de telles mesures techniques et organisationnelles doit s’apprécier en deux temps. D’une part, il convient d’identifier les risques de violation des données à caractère personnel induits par le traitement concerné et leurs éventuelles conséquences pour les droits et libertés des personnes physiques. Cette appréciation doit être conduite de manière concrète, en prenant en considération le degré de probabilité des risques identifiés et leur degré de gravité. D’autre part, il y a lieu de vérifier si les mesures mises en œuvre par le responsable du traitement sont adaptées à ces risques, compte tenu de l’état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités de ce traitement (14 décembre 2023, C 340/21, point 42).

42. Par conséquent, la formation restreinte n’entend pas sanctionner la violation de données en elle-même mais déterminer si, compte tenu de l’état des connaissances, des caractéristiques du traitement, de la probabilité et de la gravité des risques, ainsi que de la portée de l’obligation de sécurité précisée ci-dessus, la société HOPITAL PRIVE DE LA LOIRE a respecté ses obligations au titre de l’article 32 du RGPD en mettant en place des mesures techniques et organisationnelles appropriées.

2. Sur les risques du traitement pour les personnes concernées

43. La formation restreinte rappelle que le considérant 75 du RGPD précise que des risques pour les droits et libertés des personnes physiques, dont le degré de probabilité et de gravité varie, peuvent résulter du traitement de données à caractère personnel qui est susceptible d’entraîner des dommages physiques, matériels ou un préjudice moral, en particulier : lorsque le traitement peut donner lieu à une discrimination, à un vol ou une usurpation d’identité, […] à une perte de confidentialité de données protégées par le secret professionnel […] ; lorsque le traitement concerne […] des données concernant la santé […] lorsque le traitement porte sur des données à caractère personnel relatives à des personnes physiques vulnérables, en particulier les enfants ; ou lorsque le traitement porte sur un volume important de données à caractère personnel et touche un nombre important de personnes concernées .

44. Le considérant 76 du RGPD énonce qu’il convient de déterminer la probabilité et la gravité du risque pour les droits et libertés de la personne concernée en fonction de la nature, de la portée, du contexte et des finalités du traitement. Le risque devrait faire l’objet d’une évaluation objective permettant de déterminer si les opérations de traitement des données comportent un risque ou un risque élevé .

45. Par ailleurs, le considérant 83 du RGPD précise que dans le cadre de l’évaluation des risques pour la sécurité des données, il convient de prendre en compte les risques que présente le traitement de données à caractère personnel, tels que la destruction, la perte ou l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière ou l’accès non autorisé à de telles données, de manière accidentelle ou illicite, qui sont susceptibles d’entraîner des dommages physiques, matériels ou un préjudice moral .

46. En l’espèce, les traitements liés au dossier patient informatisé de l’hôpital donnent accès à un ensemble de données permettant d’identifier très précisément les patients de l’hôpital, de connaitre leur âge, de les situer géographiquement et de les contacter, à savoir leurs nom, prénoms, date et lieu de naissance, numéro de sécurité sociale, numéro d’IPP, adresse postale, adresse électronique et numéro de téléphone, et d’en déduire que ces personnes ont fait l’objet d’une prise en charge hospitalière. Il peut également contenir la copie du recto de leur carte nationale d’identité, qui constitue un document officiel, ainsi que des données de santé particulièrement précises telles que le motif d’hospitalisation, la liste des consultations, et le cas échéant les informations relatives à leur anesthésie, qui sont des catégories particulières de données à caractère personnel au sens de l’article 9, paragraphe 1, du RGPD.

47. Par ailleurs, le DPI de l’hôpital permet d’accéder à un ensemble de données concernant des personnes désignées par des patients comme tiers de confiance, permettant, d’une part, de les identifier, de les situer, et de les contacter (l’hôpital ayant indiqué que les données habituellement renseignées pour ces personnes étaient leurs nom, prénoms, adresse postale et numéro de téléphone) et, d’autre part, de connaitre leur lien de parenté ou d’affection avec le patient de l’hôpital.

48. En 2025, le DPI de l’HOPITAL PRIVE DE LA LOIRE comportait les données d’environ 530 000 patients, outre celles d’environ 200 000 personnes désignées par ces derniers comme tiers de confiance.

49. La formation restreinte considère que l’accès non autorisé ou la divulgation des données contenues dans le DPI de l’hôpital est de nature à créer un préjudice moral et matériel pour les personnes concernées. En effet, celles-ci sont exposées à des risques liés à la revente de leurs données à des personnes malveillantes, à une usurpation de leur identité ou à des tentatives d’hameçonnage (pratique consistant à se faire passer pour un organisme connu de la personne concernée afin par exemple de lui demander ses coordonnées bancaires). La divulgation non autorisée de données de santé peut également avoir des conséquences lourdes dans la vie des personnes, notamment nuire à leur réputation et à leur intégrité, ou encore entrainer des risques de discrimination, par exemple dans les domaines de l’emploi, du logement ou encore de l’assurance.

50. Par ailleurs, la formation restreinte considère que le degré de probabilité que les risques de divulgation et d’accès non autorisé aux données traitées par l’hôpital se réalisent est élevé compte tenu de la recrudescence des violations de données depuis plusieurs années. En outre, le degré de probabilité que les risques liés à l’exploitation malveillante de ces données se réalisent en cas de perte de confidentialité est également élevé. Comme rappelé par le Groupement d’Intérêt Public Action contre la Cybermalveillance, l’hameçonnage est la menace prédominante en France ( Cybermalveillance.gouv.fr dévoile les tendances de la menace cyber en France , 27 mars 2025).

51. La formation restreinte considère que, dans ces conditions, les mesures de sécurité mises en place par l’HOPITAL PRIVE DE LA LOIRE auraient dû permettre de répondre aux risques qui viennent d’être exposés.

3. Sur le niveau de sécurité déployé par l’hôpital

52. L’Agence nationale de la sécurité des systèmes d’information (ci-après l’ANSSI ) applique le principe de défense en profondeur aux systèmes d’information, qui consiste à ne pas faire reposer la sécurité sur un élément mais sur un ensemble cohérent. Cela signifie donc qu’il ne doit en théorie pas exister de point sur lequel tout l’édifice repose , c’est-à-dire que toute faille de sécurité potentielle d’un composant logiciel doit être compensée par au moins un second niveau de sécurité (voir le Memento sur le concept de défense en profondeur appliquée aux systèmes d’information, version 1.1 du 19 juillet 2004). L’ANSSI fait reposer ce concept sur le postulat que tout composant d’un système peut être défaillant ou compromis. Ce postulat, qui s’applique également aux fonctions de sécurité d’un SI [système d’information], est confirmé régulièrement par l’actualité sur les vulnérabilités de nombreux produits et logiciels (voir la note blanche Système d’information hybride et sécurité : un retour à la réalité, 10 août 2021).

53. En l’espèce, il appartient à la formation restreinte d’analyser si l’hôpital a mis en place un ensemble cohérent de mesures de sécurité pour protéger son système d’information.

3.1. Sur les vulnérabilités ayant conduit ou facilité la survenance de la violation de données de juin 2025

3.1.1 Sur l’absence de sécurisation de l’accès à distance

54. Dans un contexte numérique, il est possible pour un professionnel de se connecter à distance (par exemple, depuis son domicile) au système d’information de sa structure au moyen de son ordinateur portable. Il s’agit de nomadisme numérique, que l’ANSSI définit comme toute forme d’utilisation des technologies de l’information permettant à un utilisateur d’accéder au SI [système d’information] de son entité d’appartenance ou d’emploi, depuis des lieux distants, ces lieux n’étant pas maîtrisés par l’entité (ANSSI, Recommandations sur le nomadisme numérique , 2018).

[… passage central omis : décision trop longue pour une cellule …]

131. La rapporteure considère que l’hôpital a commis un manquement à l’article 34 du RGPD dès lors que seuls ses patients ont été informés de la violation de données intervenue, et qu’aucune information directe n’a été délivrée aux 202 246 personnes désignées par des patients comme tiers de confiance, alors même que leurs données à caractère personnel ont également été appréhendées par l’attaquant lorsqu’il a procédé à l’extraction des fiches patients du DPI.

132. En défense, l’hôpital conteste le manquement reproché.

133. Il rappelle tout d’abord les diligences accomplies en vue de contacter ses patients selon des modalités différenciées et adaptées aux données appréhendées, par le biais d’un communiqué de presse sur son site web, de 126 000 courriels personnalisés en fonction de la nature des données compromises, de 210 000 SMS adressés aux patients dont l’adresse électronique était inconnue, et de 88 000 courriers postaux adressés à ceux dont l’adresse électronique et le numéro de portable n’étaient pas disponibles.

134. Il conteste la présentation faite par le rapport de la nature et du volume des données à caractère personnel concernant des tiers de confiance, et indique que ces données seraient parcellaires, et se limiteraient habituellement aux nom, prénom, numéro de téléphone, lien de parenté avec le patient, et à la mention confiance oui/non . Il indique également que ces données ne sont pas présentées de manière structurée dans l’extraction réalisée par la société éditrice du logiciel Expert Santé , ce qui en limite l’exploitabilité.

135. L’hôpital fait ainsi valoir qu’au terme de son analyse de risques, il a estimé que la violation des données des personnes de confiance ne présentait pas de risques élevés à leur égard, et ne nécessitait dès lors pas une communication au titre de l’article 34 du RGPD, compte tenu du caractère parcellaire des informations les concernant, de l’absence de sensibilité des données et de l’absence de vulnérabilité des personnes concernées.

136. La formation restreinte relève que l’hôpital a contacté ses patients par différents biais afin de les informer de la survenance d’une attaque informatique (communiqué de presse sur la page d’accueil de son site web, courriels, SMS, courriers postaux), et qu’ainsi la communication réalisée à destination de ces personnes est conforme aux exigences posées par l’article 34 du RGPD.

137. Elle relève qu’en revanche, aucune information n’a été délivrée aux 202 246 personnes désignées comme tiers de confiance par des patients de l’hôpital, alors même que leurs données à caractère personnel ont également été appréhendées par l’attaquant à l’issue de la violation.

138. Elle précise que la communication aux personnes concernées par une violation de données devant par principe être effectuée de manière directe, le communiqué de presse diffusé sur le site web de l’hôpital ne saurait être considéré comme suffisant au regard de l’article 34 du RGPD. Elle observe à cet égard que les personnes désignées comme tiers de confiance n’ayant pas été prises en charge elles-mêmes au sein de l’hôpital, elles avaient d’autant moins de raison de consulter spontanément ce site web.

139. Or, la formation restreinte considère que la violation de données survenue entre le 26 juin et le 1er juillet 2025 expose bien ces personnes à des risques importants, dès lors que les informations appréhendées, en l’occurrence leurs noms, prénoms, numéro de téléphone et lien de parenté avec un patient, peuvent être utilisées à des fins frauduleuses, par exemple dans le cadre de campagnes d’hameçonnage. De plus, la formation restreinte souligne que ces informations concernant les tiers de confiance doivent être envisagées en lien avec celles du patient auquel elles sont rattachées dans la fiche patient, et constituent ainsi un ensemble de données pouvant être réutilisé dans le cadre d’usurpations d’identités, notamment pour tenter d’effectuer des formalités administratives au nom d’un patient décédé. Ce risque apparait d’autant plus important que certaines fiches patient récupérées par l’attaquant comportent un volume d’informations important, avec pour certaines des données de santé particulièrement précises, relatives à des hospitalisations actuelles ou passées, et pour 46 185 d’entre elles la copie du recto de la carte nationale d’identité du patient.

140. La formation restreinte observe que l’hôpital a été en mesure de quantifier et d’identifier précisément les personnes désignées tiers de confiance dès le 7 juillet 2025, date à laquelle il a notifié la violation de données à la CNIL. En outre, s’il ne disposait pas de leur adresse électronique ou de leur adresse postale, l’hôpital aurait pu les contacter en leur adressant un SMS sur leur téléphone portable, généralement renseigné, comme il l’a fait pour les patients concernés par la violation.

141. Il résulte de ce qui précède qu’en s’abstenant d’informer les 202 246 personnes désignées comme tiers de confiance par des patients de la survenance d’une attaque informatique ayant permis l’appréhension frauduleuse de leurs données à caractère personnel, l’HOPITAL PRIVE DE LA LOIRE a commis un manquement à l’article 34 du RGPD.

III. SUR LES MESURES CORRECTRICES ET LEUR PUBLICITÉ

142. En droit, aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, lorsque le

responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut (…) saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : (…)

7° À l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 .

143. L’article 83 du RGPD prévoit en outre que chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.

144. Le considérant 150 du RGPD précise que lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l’Union européenne .

145. Les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679 indiquent quant à elles que la notion d’entreprise doit s’entendre comme une unité économique pouvant être formée par la société mère et toutes les filiales concernées. Conformément au droit et à la jurisprudence de l’Union, il y a lieu d’entendre par entreprise l’unité économique engagée dans des activités commerciales ou économiques, quelle que soit la personne morale impliquée .

146. Par un arrêt du 5 décembre 2023 (CJUE, grande chambre, C-807/21, Deutsche Wohnen ), la CUJE a considéré, s’agissant de la notion d’entreprise qu’ainsi que l’a relevé M. l’avocat général au point 45 de ses conclusions, c’est dans ce contexte spécifique du calcul des amendes administratives imposées pour des violations visées à l’article 83, paragraphes 4 à 6, du RGPD qu’il y a lieu d’appréhender le renvoi, effectué au considérant 150 de ce règlement, à la notion d’entreprise , au sens des articles 101 et 102 TFUE. À cet égard, il convient de souligner que, aux fins de l’application des règles de la concurrence, visées par les articles 101 et 102 TFUE, cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 6 octobre 2021, Sumal, C 882/19, EU:C:2021:800, point 41 et jurisprudence citée). Ainsi, il ressort de l’article 83, paragraphes 4 à 6, du RGPD, qui vise le calcul des amendes administratives pour les violations énumérées dans ces paragraphes, que, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une entreprise, au sens des articles 101 et 102 TFUE, le montant maximal de l’amende administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée. En définitive, ainsi que M. l’avocat général l’a relevé au point 47 de ses conclusions, seule une amende administrative dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire, et donc imposée par l’autorité de contrôle en se fondant, en ce qui concerne le montant de celle-ci, sur la notion d’unité économique au sens de la jurisprudence citée au point 56 du présent arrêt, est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive. Dès lors, lorsqu’une autorité de contrôle décide, au titre des pouvoirs qu’elle détient en vertu de l’article 58, paragraphe 2, du RGPD, d’imposer à un responsable du traitement, qui est ou fait partie d’une entreprise, au sens des articles 101 et 102 TFUE, une amende administrative en application de l’article 83 dudit règlement, cette autorité est tenue de se fonder, en vertu de cette dernière disposition, lue à la lumière du considérant 150 du même règlement, lors du calcul des amendes administratives pour les violations visées aux paragraphes 4 à 6 de cet article 83, sur la notion d’entreprise , au sens de ces articles 101 et 102 TFUE (paragraphes 55 à 59).

147. Cette position a été confirmée par la Cour dans son arrêt du 13 février 2025 (CJUE, cinquième chambre, C-383/23, Ilva A/S ).

148. Enfin, le deuxième alinéa de l’article 22 de la loi Informatique et Libertés dispose que la formation restreinte peut rendre publique les mesures qu’elle prend .

A. Sur le prononcé d’une amende administrative et son montant

149. La rapporteure demande à la formation restreinte de prononcer à l’encontre de l’HOPITAL PRIVE DE LA LOIRE une amende administrative au regard des manquements constitués aux articles 32 et 34 du RGPD.

150. En défense, l’hôpital estime le montant de l’amende proposé par la rapporteure disproportionné au regard de sa situation financière et de celle du groupe RAMSAY SANTE. Il rappelle les difficultés rencontrées et met en avant l’augmentation de ses charges de fonctionnement, ainsi que les coûts importants qu’il a d’ores et déjà été contraint de supporter du fait de la violation de données, notamment pour l’intervention d’un cabinet de cybersécurité ainsi que pour la communication aux personnes concernées. Il considère que la formation restreinte devrait tenir compte, conformément à l’article 83, paragraphe 2, du RGPD, de plusieurs circonstances atténuantes telles que la coopération avec l’autorité de contrôle, les mesures prises pour atténuer le dommage, le caractère non délibéré des manquements relevés, liés aux contraintes techniques et organisationnelles du logiciel historique et non d’une volonté de contourner les règles du RGPD, ainsi que le nombre de personnes réellement exposées à un risque, et l’absence de dommage direct porté à la connaissance de la Commission.

151. L’hôpital indique également que le prononcé d’une amende administrative diminuerait d’autant sa capacité à mettre en place les mesures de sécurité que la CNIL préconise et sollicite, à titre principal, l’absence d’amende, et à titre subsidiaire, la réduction significative du montant proposé par la rapporteure.

1. Sur le prononcé de l’amende

152. La formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes.

153. En premier lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD, relatif à la gravité du manquement compte tenu de la nature, de la portée ou de la finalité du traitement, ainsi que du nombre de personnes affectées.

154. S’agissant des manquements relatifs à la sécurité des données, la formation restreinte rappelle qu’ils ont concerné un nombre important de personnes, à savoir 524 867 patients de l’hôpital, ainsi que 202 246 personnes désignées par ces derniers comme tiers de confiance.

155. Elle considère que les carences de sécurité importantes qui ont été relevées ont permis ou a minima facilité la survenance de la violation, l’attaquant ayant pu accéder aisément au DPI de l’hôpital et extraire durant plusieurs jours un volume de données conséquent sans être repéré.

156. Elle estime que le contexte de recrudescence de cyberattaques exige une attention particulière des responsables du traitement pour assurer la sécurité des données qu’ils traitent. Elle rappelle à cet égard que la CNIL a enregistré en 2025 6 167 notifications de violations de données, le plus haut niveau jamais atteint, qui ont concerné en particulier les secteurs de la santé, de l’administration publique et des activités financières. Elle souligne ainsi que la nature du traitement, en l’occurrence le dossier patient informatisé de l’hôpital, qui centralise à la fois des données administratives permettant d’identifier et de localiser très précisément des personnes, et des données de santé, qui sont des catégories particulières de données à caractère personnel au sens de l’article 9, paragraphe 1, du RGPD, aurait dû conduire l’hôpital à faire preuve d’une vigilance toute particulière lors de la mise en œuvre des mesures devant permettre d’assurer efficacement sa sécurité et sa confidentialité, ce qui n’a pas été le cas.

157. S’agissant du manquement relatif à l’obligation de communication à la personne concernée d’une violation de données à caractère personnel, la formation restreinte rappelle que l’hôpital a omis de prévenir un nombre important de personnes, en l’occurrence 202 246 personnes désignées par des patients de l’hôpital comme tiers de confiance, qui n’ont à ce jour reçu aucune information concernant la nature de l’attaque et ses conséquences probables ni les mesures permettant d’y remédier et de se prémunir d’éventuelles utilisations malveillantes de leurs données à caractère personnel.

158. La formation restreinte considère que cette omission est particulièrement dommageable dès lors que le volume d’informations récupéré par l’attaquant, concernant tant ces personnes que les patients qui les ont désignées comme tiers de confiance, permet des formes sophistiquées d’hameçonnage, voire des usurpations d’identité, notamment pour tenter d’effectuer des formalités administratives au nom d’un patient mineur, majeur protégé ou encore décédé.

159. Il résulte de ce qui précède que les manquements caractérisés à l’égard de l’hôpital sont graves.

160. En deuxième lieu, la formation restreinte estime qu’il convient de tenir compte du critère prévu aux alinéas b) et d) de l’article 83, paragraphe 2, du RGPD, relatifs au fait que la violation ait été commise délibérément ou par négligence, et au degré de responsabilité du responsable de traitement compte tenu des mesures techniques et organisationnelles qu’il a ou non mises en œuvre en vertu des articles 25 et 32 du RGPD.

161. La formation restreinte relève que les mesures de sécurité qui auraient permis d’empêcher ou de limiter la violation sont bien identifiées par l’état de l’art, et que l’hôpital disposait des moyens humains, techniques et financiers pour les mettre en œuvre.

162. Elle souligne que les vulnérabilités identifiées à l’issue des opérations de contrôle sont la conséquence de l’absence de mise en œuvre de mesures élémentaires de sécurité, tant sur le plan technique (en s’abstenant de recourir à un moyen d’identification à deux facteurs ou à un VPN pour l’accès à distance au DPI) que sur le plan organisationnel (en s’abstenant de mettre en œuvre un système d’analyse des journaux permettant de détecter des activités anormales et de déclencher des alertes, et en adoptant une politique d’habilitations inadéquate). Combinées entre elles, ces insuffisances ont fragilisé le système d’information de l’hôpital et ont fait peser sur lui un risque important.

163. La formation restreinte relève que l’hôpital était pourtant conscient de la gravité du risque, dès lors que l’AIPD effectuée en 2021 l’avait qualifiée de maximale , en précisant que l’extrême sensibilité des données concernées par le traitement et les potentielles conséquences des violations justifient amplement ce niveau de gravité .

164. Il incombait donc au responsable de traitement de mettre en œuvre les mesures nécessaires afin de sécuriser le traitement à la hauteur de ce risque, ce qu’il a manqué de faire, et qui a contribué à la survenance de la violation de données des mois de juin-juillet 2025, ainsi qu’à son ampleur.

165. Par conséquent, la formation restreinte considère que les manquements en cause témoignent d’une négligence avérée de la part de l’hôpital.

166. En troisième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa g) de l’article 83, paragraphe 2 du RGPD relatif aux catégories de données à caractère personnel concernées par le manquement.

167. La formation restreinte relève que le DPI de l’hôpital contient, outre des données de nature administrative, des copies de documents officiels, en l’occurrence les copies de rectos de cartes d’identité des patients, qui constituent des données à caractère relativement sensible , ainsi que des données de santé, qui sont quant à elles des catégories particulières de données à caractère personnel au sens de l’article 9, paragraphe 1, du RGPD, faisant l’objet d’une protection renforcée. La formation restreinte considère ainsi que de telles données aurait dû faire l’objet d’une attention particulière du responsable de traitement, pour en assurer la sécurité et la confidentialité.

168. En conséquence, la format